Inscrição automática de PKI do IOS, rollover automático e temporizadores - Cisco
Inscrição automática de PKI do IOS, rollover automático e temporizadores
ID do documento:116094
Configuração do servidor Cisco IOS CA
Configuração do roteador do cliente/spoke
Inscrição automática em ação
Substituição automática em ação
No Cisco IOS CA Server
No roteador cliente
Exemplo de cronograma de PKI com rollover e inscrição
Este documento descreve como as operações de PKI (Public Key Infrastructure, Infraestrutura de Chave Pública) do Cisco IOS® de registro automático e rollover automático e como os respectivos temporizadores PKI são calculados para essas operações.
Os certificados têm vida útil fixa e expiram em algum momento. Se os certificados forem usados para fins de autenticação para uma solução VPN (por exemplo), a expiração desses certificados levará a possíveis falhas de autenticação que resultam na perda de conectividade VPN entre os pontos finais. Para evitar esse problema, esses dois mecanismos estão disponíveis para renovação automática de certificado:
Inscrição automática para os roteadores cliente/spoke
Rollover automático para o roteador de servidor da Autoridade de Certificação (CA)
PKI e o conceito de confiança
Configuração básica de CA em roteadores
Quando um certificado em um dispositivo final está prestes a expirar, a inscrição automática obtém um novo certificado sem interrupção. Quando a inscrição automática é configurada, o roteador do cliente/spoke pode solicitar um novo certificado em algum momento antes que seu próprio certificado (conhecido como sua identidade ou certificado de ID) expire.
Este parâmetro decide quando o Servidor de Certificados (CS) gera seu certificado de sobreposição (sombra); se o comando for inserido na configuração do CS sem nenhum argumento, a hora padrão será 30 dias.
Note: Para os exemplos neste documento, o valor deste parâmetro é 10 minutos.
Quando um certificado no servidor CA está prestes a expirar, a transferência automática permite que a AC obtenha um novo certificado sem interrupção. Quando a transferência automática é configurada, o roteador CA pode gerar um novo certificado em algum momento antes que seu próprio certificado expire. O novo certificado, que é chamado de sombra ou sobreposição de certificado, torna-se ativo no momento exato em que o certificado CA atual expira.
Com o uso dos dois recursos mencionados na seção Introdução deste documento, a implantação de PKI se torna automatizada e permite que o dispositivo spoke ou cliente obtenha um certificado de identidade de sombra/rollover e um certificado de CA de sombra/rollover antes da expiração do certificado de CA atual. Dessa forma, ele pode fazer a transição sem interrupção para os novos certificados de ID e CA quando seus certificados de ID e CA atuais expirarem.
Este parâmetro especifica o tempo de vida do certificado CA. O valor deste parâmetro pode ser especificado em dias/horas/minutos.
Observação: para os exemplos neste documento, o valor deste parâmetro é 30 minutos.
Esse parâmetro especifica o tempo de vida do certificado de identidade emitido pelo roteador CA. O valor deste parâmetro pode ser especificado em dias/horas/minutos.
Observação: para os exemplos neste documento, o valor deste parâmetro é 20 minutos
Nota: Valores de temporizador PKI menores para vida útil, rollover automático e inscrição automática são usados neste documento para ilustrar os conceitos chave de inscrição automática e de substituição automática. Em um ambiente de rede ativa, a Cisco recomenda que você use os tempos de vida padrão para esses parâmetros.
Dica: todos os eventos baseados em temporizador PKI, como rollover e reinscrição, podem ser afetados se não houver uma fonte de tempo autoritativa. Por esse motivo, a Cisco recomenda que você configure o Network Time Protocol (NTP) em todos os roteadores que executam PKI.
Esta seção fornece um exemplo de configuração para o servidor de CA do Cisco IOS.
Nota: O valor especificado com o comando autorrollover é o número de dias/horas/minutos antes da data final do certificado CA atual que o certificado de rollover é gerado. Portanto, se um certificado CA for válido das 12:00 às 12:30, a rollover 0 0 10 automática implica que o certificado CA de rollover é gerado em torno das 12:20.
Insira o comando show crypto pki certificate para verificar a configuração no servidor de CA do Cisco IOS:
Com base nessa saída, o roteador inclui um certificado CA válido de 9:16 a 9:46 IST de 25 de novembro de 2012. Como a rollover automática está configurada para 10 minutos, espera-se que o certificado de sombra/rollover seja gerado por IST de 9,36 de 25 de novembro de 2012.
Para confirmar, insira o comando show crypto pki timer:
Com base nessa saída, o comando show crypto pki timer foi emitido em 9.19 IST, e espera-se que o certificado shadow/rollover seja gerado em 16,43 minutos:
[09:19:22 + 00:16:43] = 09:36:05, que é [end-date_of_current_CA_cert - auto_rollover_timer]; isto é, [09:46:05 - 00:10:00] = 09:36:05.
Esta seção fornece um exemplo de configuração para o roteador do cliente/spoke.
Observação: o comando autoenroll ativa o recurso de inscrição automática no roteador. A sintaxe do comando é: autoenroll [val%] [regenerate].
Na saída anterior, o recurso de inscrição automática é especificado como 70%; ou seja, em 70% do [duração do current_ID_cert], o roteador se registra automaticamente com a CA.
Dica: a Cisco recomenda que você defina o valor da inscrição automática como 60% ou mais para garantir que os temporizadores PKI funcionem corretamente.
A opção regenerar leva à criação de uma nova chave Rivest-Shamir-Addleman (RSA) para fins de reinscrição/renovação de certificado. Se essa opção não for especificada, a chave RSA atual será usada.
Conclua estes passos para verificar o recurso de inscrição automática:
Insira o comando crypto pki authenticate para autenticar manualmente o ponto de confiança no roteador do cliente:
Note: Para obter mais informações sobre esse comando, consulte a Referência de Comandos de Segurança do Cisco IOS.
Depois de inserir o comando, uma saída semelhante a esta deverá aparecer:
Digite yes para aceitar o certificado CA no roteador cliente. Em seguida, um temporizador RENEW começa no roteador:
Quando o temporizador RENEW chegar a zero, o roteador do cliente se inscreve automaticamente na CA para obter seu certificado de identidade. Quando o certificado for recebido, insira o comando show crypto pki certificate para exibi-lo:
A data de renovação é 09:30:08 e é calculada conforme mostrado aqui:
hora de início + (%renovação de ID_cert_lifetime)
Os temporizadores PKI refletem o mesmo:
Quando o temporizador RENEW expirar, o roteador se registra novamente com a CA para obter um novo certificado de ID. Após a renovação de um certificado, insira o comando show crypto pki cert para exibir o novo certificado de ID:
Observe que não há mais uma data de renovação; em vez disso, um temporizador SHADOW começa:
Aqui está a lógica do processo:
Se a data de término do certificado de ID não for igual à data de término do certificado de AC, calcule uma data de renovação com base na porcentagem de inscrição automática e inicie o cronômetro de renovação.
Se a data de término do certificado de ID for igual à data de término do certificado de AC, não será necessário qualquer processo de renovação, uma vez que o certificado de ID atual é válido apenas enquanto o certificado de AC atual for válido. Em vez disso, um temporizador SHADOW é iniciado.
Esse temporizador também é calculado com base na porcentagem mencionada no comando autoenroll. Por exemplo, considere as datas de validade do certificado de ID renovado que são mostradas no exemplo anterior:
O tempo de vida deste certificado é de 16 minutos. Portanto, o temporizador de rollover (isto é, o temporizador SHADOW) é de 70% de 16 minutos, o que equivale a aproximadamente 11 minutos. Esse cálculo implica que o roteador inicia solicitações para seus certificados de sombra/rollover em [09:30:09 + 00:11:00] = 09:41:09, que corresponde ao temporizador PKI SHADOW mostrado anteriormente neste documento:
Esta seção descreve o recurso de substituição automática em ação.
Quando o temporizador SHADOW expira, o certificado de rollover aparece no roteador CA:
Conforme descrito anteriormente neste documento, o recurso de inscrição automática começou um temporizador SHADOW no roteador do cliente. Quando o temporizador SHADOW expira, o recurso de inscrição automática permite que o roteador solicite ao servidor CA o certificado CA de rollover/sombra. Uma vez recebido, ele também consulta seu certificado de ID de sobreposição/sombra. Como resultado, o roteador tem dois pares de certificados: um par atual e o outro par que contém os certificados rollover/shadow:
Observe a validade do certificado de ID de rollover:
O tempo de vida do certificado é de apenas quatro minutos (em vez dos 20 minutos esperados, conforme configurado no servidor de CA do Cisco IOS). De acordo com o servidor da CA do Cisco IOS, o tempo de vida do certificado de ID absoluto deve ser de 20 minutos (o que significa que, para um determinado roteador cliente, a soma dos tempos de vida dos certificados de ID (atual + sombra) emitidos para ele não deve ser superior a 20 minutos).
Este processo é descrito aqui:
Aqui está a validade do certificado de ID atual no roteador:
Portanto, o current_id_cert_lifetime é de 16 minutos.
Aqui está a validade do certificado de ID de rollover:
Portanto, o rollover_id_cert_lifetime é de quatro minutos.
De acordo com o Cisco IOS, quando [current_id_cert_lifetime] é adicionado a [rollover_id_cert_lifetime], ele deve ser igual a [total_id_cert_lifetime]. Isso é verdade neste caso.
Os temporizadores PKI exigem um relógio autoritativo para funcionarem corretamente. A Cisco recomenda que você use o NTP para sincronizar relógios entre os roteadores clientes e o roteador da CA do Cisco IOS. Na ausência de NTP, o relógio do sistema/hardware no roteador pode ser usado. Para obter informações sobre como configurar o relógio de hardware e torná-lo autoritativo, consulte o Guia Básico de Configuração de Gerenciamento do Sistema, Cisco IOS versão 12.4T.
Após o recarregamento de um roteador, a sincronização do NTP frequentemente leva alguns minutos. No entanto, os temporizadores PKI são estabelecidos quase imediatamente. A partir das versões 15.2(3.8)T e 15.2(4)S, os temporizadores PKI são automaticamente reavaliados depois que o NTP é sincronizado.
Os temporizadores PKI não são absolutos; são baseados no tempo restante e, portanto, são recalculados após uma reinicialização. Por exemplo, suponha que o roteador cliente tenha um certificado de ID válido por 100 dias e que o recurso de inscrição automática esteja definido como 80%. Em seguida, espera-se que a reinscrição ocorra após o 80º dia. Se o roteador for recarregado no 60º dia, ele inicializará e recalculará o temporizador PKI como mostrado aqui:
(tempo restante) * (%autoinscrição) = (100-60) * 80% = 32 dias.
Portanto, a reinscrição ocorre no [60 + 32] = 92º dia.
Quando você configura os temporizadores de autoinscrição e de rolagem automática, é importante configurá-los com valores que permitam a disponibilidade do certificado CA SHADOW no servidor PKI quando o cliente PKI solicitar um. Isso ajuda a reduzir possíveis falhas de serviços PKI em um ambiente de grande escala.